第 2 章 更新框架的可信工件签名实施

从 Red Hat Trusted Artifact Signer (RHTAS)版本 1.1 开始，我们实施了更新框架(TUF)作为信任 root 来存储公钥，以及 RHTAS 服务使用的证书。更新框架是一种复杂的框架，用于保护软件更新系统，这使其成为保护所提供的工件的理想选择。更新框架将 RHTAS 服务称为可信根目标。每个 RHTAS 服务有四个可信目标：Fulcio、Certificate Transparency (CT)日志、Rekor 和 Timestamp Authority (TSA)。客户端软件（如 cosign ）使用 RHTAS 信任 root 目标来签名和验证工件签名。简单的 HTTP 服务器将公钥和证书分发到客户端软件。这个简单的 HTTP 服务器具有单个目标的 TUF 存储库。

在 OpenShift 中部署 RHTAS 操作器时，我们默认创建一个 TUF 存储库，并预填充各个目标。默认情况下，从部署 Securesign 实例的时间，所有元数据文件的过期日期为 52 周。红帽建议选择较短的过期周期，并经常轮转您的公钥和证书。定期进行这些维护任务有助于防止对代码库的攻击。